Настройки Iptables для сервера

[imperio]

Сформулируйте пожалуйста ваше предложение по теме и добавьте Feature Request в багзиллу
Что конкретно предлагается.
http://mantis.vestacp.com/

[Deeryo]

Еще раз повторю, что список блокировки очень мало грузит процессор, это проверено в бою. Список ipset это модуль ядра линукс для iptables и представляет из себя такой хэш в памяти и скорость обращения к хэшу не зависит от количества записей. А список можно обновлять хоть раз в сутки и его обновление тоже не такое уж медленное, потому что ipset читает сразу весь список из файла:
ipset --restore < /etc/ipset.conf
В общем вывод такой: заблокировать атакующих лучше в ipset, чем не блокировать.
Кстати, fail2ban тоже можно настроить на использование ipset, в нем есть такие actions.

[imperio]

belka2007, в целях безопасности могу ещё посоветовать вам утилиту denyhosts
утилита защитит ssh от подбора пароля

[belka2007]

А если я сделал вход в ssh только по ключу, а по паролю запретил. Это уже наверное не актуально?

[imperio]

Можно и так

[kery]

добрый день, сталкиваюсь уже не в первый раз пытаюсь настроить ip tables в политиках правило разрешает подключение по ftp на 2121 порт вот конфиг iptables

Code: Select all

# Generated by iptables-save v1.4.7 on Thu Sep 4 04:39:51 2014
*filter
:INPUT DROP [6:412]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [70:55595]
-A INPUT -i eth0 -p tcp -m tcp --dport 2233 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2121 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 2525 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 465 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 110 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 143 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 953 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 8083 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 587 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 993 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 995 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2233 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --set --name radiator --rsource
-A INPUT -p tcp -m tcp --dport 2233 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 30 --hitcount 3 --name radiator --rsource -j DROP
COMMIT
# Completed on Thu Sep 4 04:39:51 2014
# Generated by iptables-save v1.4.7 on Thu Sep 4 04:39:51 2014
*nat
:PREROUTING ACCEPT [10388:911972]
:POSTROUTING ACCEPT [7653:515897]
:OUTPUT ACCEPT [7653:515897]
COMMIT

но при включенном фаерволе по ftp не подключает выдает
Команда: MLSD
Ошибка: Превышено время ожидания соединения
Ошибка: Не удалось получить список каталогов

отключаешь фаервол все норамально

[Deeryo]

Надо проверить, что в файл /etc/sysconfig/iptables-config в IPTABLES_MODULES добавлено значение "ip_conntrack_ftp". После этого перегрузить service iptables restart.

[kery]

добавил заначение IPTABLES_MODULES="ip_conntrack_ftp"
перезапустил и всеравно не пускает
Команда: MLSD
Ошибка: Превышено время ожидания соединения
Ошибка: Не удалось получить список каталогов

[Deeryo]

Эта настройка подключает модуль ядра, который умеет отслеживать Established для ftp протокола. А что показывает команда lsmod | grep ftp ? У меня так

Code: Select all

# lsmod | grep ftp
nf_conntrack_ftp       12913  0 
nf_conntrack           79758  3 nf_conntrack_ftp,nf_conntrack_ipv4,xt_state

[Deeryo]

Похоже проблема в том, что номер порта не стандартный 21, а другой. Тут http://ubuntuforums.org/showthread.php?t=1878252 и тут http://www.linux.org.ru/forum/admin/7740222 пишут, что придется настраивать modprobe.
Для Centos можно создать файл /etc/modprobe.d/conntrack.conf с текстом

options ip_conntrack_ftp ports=21,2121

или добавить в файл /etc/rc.local команду

modprobe ip_conntrack_ftp ports=21,2121

Если не идет, то поменять ip_conntrack_ftp на nf_conntrack_ftp